SonarにSnykを活用したLint機能が登場

Snykが、Sonarの脆弱なJavaScriptライブラリ検出機能に採用されたことをお知らせできるのを誇りに思います。Sonarは、Microsoftのメンバーを中心に開発されている、開発者向けのオープンソースLintツールです。

今年初め、ウェブ上の上位5,000件のURLを調査したところ、その76.6%で、既知のセキュリティ脆弱性が少なくとも1つあるJavaScriptライブラリが使われていることがわかりました。これは驚くほど大きな数字です。既知の脆弱性は、攻撃者にとって格好の侵入口となります。詳細が広く公開されており、大規模に発見しやすいためです。既知の脆弱性からサイトを守ることは、オンライン全体のセキュリティを向上させるうえで欠かせません。

だからこそ、開発者向けの優れた監査ツールがこの問題に注目し、Snykの脆弱性データベースを活用して、ツールを使うすべての開発者に脆弱なライブラリを知らせてくれることを嬉しく思います。こうしたツールに組み込むことは、開発者の認識を高め、脆弱性がもたらすリスクに気づき、理解しやすくするための重要な一歩です。

SnykとSonar

SonarはMicrosoft Edgeチーム内のプロジェクトとして始まりましたが、すぐにJS Foundationの支援を受ける、オープンソースでコミュニティ主導のプロジェクトにしたいと考えるようになりました。Sonarは、さまざまなベストプラクティスや独自ルールに照らしてサイトをLintし、結果をレポートにまとめます。これにより、何を改善すべきかを正確に把握できます。

標準監査項目の1つは、既知の脆弱性があるJavaScriptライブラリが使われているかどうかのチェックです。Sonarは検出できるライブラリと、その使用バージョンを確認します。次に、SnykのクライアントサイドJavaScript脆弱性データベースを参照し、潜在する脆弱性を調べます。最後に、Snyk上の該当する問題へのリンクとともに結果をレポートに出力するため、修正方法を詳しく確認できます。

Sonarは当初、sonar npm moduleを使うコマンドラインツールとして始まりましたが、さらに手軽にサイトやアプリケーション全体の状態をすばやく把握できるよう、新しいオンラインサイトスキャナーも公開しました。

セキュリティと開発者をつなぐ

Sonarは開発者にとって非常に優れたツールであり、私たちも支援できることを大変嬉しく思います。脆弱なフロントエンドJavaScriptライブラリを検出するLintルールが標準で用意されていることで、潜在的なセキュリティ問題をより可視化し、開発者が対処しやすくなります。結果を確認したら、Snykにすぐ移動して修正方法を調べ、プルリクエストを自動作成して問題を修正することもできます。

バックエンドのコードについても同様の脆弱性がないか、引き続き監視する必要があります。しかし、開発者がすでに使い、信頼しているツールでフロントエンドの脆弱性を見えるようにすることは、既知の脆弱性がサイトやユーザーに影響を及ぼす前に、開発者が無理なく発見し、防ぐための重要な一歩です。明日も、脆弱なフロントエンドJavaScriptライブラリを開発者が見つけやすくする、Snykの新たな取り組みをご紹介します。